Der Patch Tuesday im Februar wurde wegen eines schwerwiegenden Fehlers verschoben, jedoch wollte Microsoft nicht mitteilen, um welchen es sich dabei handelt, wohl auch, um Gefahren von den Nutzern abzuwenden. Erst am 14. März gibt es wieder Sicherheitsupdates für Windows 10, in der Zwischenzeit ist die Gefahr vor Angriffen etwas größer.
Zwei Bugs sind der Öffentlichkeit bereits bekannt, einerseits eine offene Sicherheitslücke in Flash für Microsoft Edge, andererseits der SMB-Bug. Beide Fehler sind nicht leicht auszunutzen, vor allem, da letzterer einen direkten Zugang zur Maschine erfordert. Googles ProjectZero, eine spezielle Abteilung auf der Suche nach Sicherheitslücken in fremder Software, hat gestern erneut eine Sicherheitslücke öffentlich gemacht sowie auch eine Beweisführung präsentiert, die als Anleitung verstanden werden kann.
Erstes Update behob Problem nicht
Google hat die Sicherheitslücke am 9. Juni 2016 zum ersten Mal an Microsoft berichtet und kurz danach wurde ein Update für die gdi32.dll-Datei veröffentlicht. Microsoft war davon ausgegangen, dass das Problem damit gelöst sei und Google auch. Als man im November 2016 nochmal nachprüfte, stellte man fest, dass der Fehler für die meisten, aber nicht alle Anwendungen gelöst werden konnte und man reichte erneut den Fehler ein. Microsoft hat seitdem kein Update mehr veröffentlicht und daher hat Google die Sicherheitslücke im eigenen Blog der Öffentlichkeit präsentiert. Dass diese Veröffentlichung ausgerechnet kurz nach Absage eines Patchdays kommt, dürfte reiner Zufall sein.
Auch bei diesem Bug wird allerdings direkter Zugriff auf die Maschine benötigt, um den Fehler auszunutzen, sodass sich Windows-User, die ihre Maschine nicht ausleihen, keine Sorgen machen müssen. Es bleibt dennoch zu hoffen, dass Microsoft mit dem kommenden Patch Tuesday auch dieses Problem behebt.
Quelle: Google
